Microsoft ha rilasciato il Digital Defense Report, per fare luce sulle tendenze delle attività degli Stati, del cybercrime, della sicurezza della supply chain, del lavoro ibrido e del fenomeno della disinformazione.
Il rapporto annuale sulla sicurezza dell’azienda guidata da Satya Nadella ha un vantaggio rispetto alla concorrenza: l’enorme mole di dati. Si fonda infatti “su 65 trilioni di segnali che Microsoft raccoglie dal proprio ecosistema globale ogni giorno”, spiega Tom Burt, Corporate Vice President, Customer Security & Trust di Microsoft, che in un un virtual press briefing ha illustrato i trend in anteprima.
“Grazie ai diecimila ingegneri e agli altri professionisti” che lavorano per l’azienda di Redmond, Burt conferma che è possibile migliorare la sicurezza dei prodotti e servizi targati Microsoft, oltre ad aiutare a proteggere i clienti, i loro dispositivi IoT e mobili e l’intero ecosistema.
Attraverso un’ampia gamma di attività diverse in cui sono impegnati i dipendenti dediti alla cyber, Microsoft gode di “un punto di vista unico”, secondo Burt. Questo rapporto annuale riunisce dunque tutto ciò che hanno osservato tutti i diversi team di Microsoft che si occupano di cyber security, offrendo un quadro generale che fotografa la foresta e non si limita solo agli alberi. Ecco i punti salienti del report.
Indice degli argomenti
Microsoft Digital Defense Report: l’evoluzione dei cyber attacchi
Il rapporto di quest’anno si concentra sui crimini informatici. Il motivo è che i cyber criminali continuano a essere molto efficaci, creativi e hanno forte impatto. Significativi sono i casi che coinvolgono ransomware, nuove tecniche delle ransomware gang, in particolare quelle che danno in affitto il ransomware-as-a-service.
“Utilizzano anche la crittografia remota per criptare i dati a cui hanno accesso, perché i difensori stavano trovando il modo di sconfiggere la crittografia locale, utilizzandola come prova per rintracciare e identificare gli autori di questi tipi di attacco”, commenta Burt. Gli operatori di ransomware hanno anche classificato i dati esfiltrati e crittografati, minacciando di rivelarli in caso di mancato pagamento. Conviene quindi effettuare backup con dati già crittografati in modo da evitare questa minaccia.
Inoltre, aumentano “le compromissioni delle mail, le frodi, i riscatti per convincere le imprese a pagare denaro attraverso tecniche fraudolente”, continua Burt.
Microsoft Digital Defense Report: i dettagli
Microsoft lavora in collaborazione con le forze dell’ordine e con le proprie unità per i crimini digitali per rifocalizzarsi su nuove strategie e sulle sue componenti. Il colosso di Redmond punta a distruggere l’infrastruttura tecnologica che i criminali informatici utilizzano per compiere crimini, interrompendo così il modo in cui i criminali informatici stanno effettivamente guadagnando.
“Il punto è identificare, interrompere e impedire che i cyber criminali traggano effettivamente vantaggio economico dalla loro attività criminale“, sottolinea Tom Burt.
Sebbene la strada da percorrere sia ancora lunga, come illustrato nel rapporto, Microsoft ha ottenuto alcuni primi successi in questo lavoro su cui continuerà a concentrarsi, in collaborazione con le forze dell’ordine e altri soggetti del settore privato.
Attacchi nation-state al centro del Microsoft Digital Defense Report
Altro punto dirimente sono le attività degli attacchi sferrati da attori nation-state nation-state. Nell’ultimo anno, grande enfasi è stata data al modo in cui la Russia ha utilizzato malware distruttivi a supportoo del suo tentativo di invasione dell’Ucraina.
Gli attori russi malevoli – che Microsoft traccia – pongono l’accento sullo spionaggio e sull’intelligence, sulla raccolta di informazioni a sostegno del loro sforzo bellico.
“Aumenta anche l’attività di disinformazione da parte degli attori russi che cercano di influenzare le opinioni dell’opinione pubblica e dei governi attraverso la loro macchina della propaganda”, avverte Burt. In particolare, le squadre russe, dedite alla raccolta di informazioni e alle operazioni di influenza, cercano di ridurre il sostegno pro Ucraina, complice la stanchezza verso una guerra lunga, presso i Paesi della NATO.
Lo scenario cinese a Taiwan nel Microsoft Digital Defense Report
Microsoft sta anche assistendo a un aumento significativo delle attività di raccolta di informazioni e intelligence da parte di attori cinesi.
Nel Pacifico meridionale, in particolare a Taiwan, negli Stati Uniti e in altri Paesi, cresce la raccolta di informazioni su un’ampia gamma di obiettivi militari e di infrastrutture critiche, oltre che sugli obiettivi tipici. Coinvolte sono agenzie governative, think tank e hacker.
Taiwan è il secondo Paese più bersagliato dell’Asia-Pacifico, dopo la Sud Corea, presa di mira a sua volta dalla Corea del Nord in misura molto elevata, oltre che dalla Cina e da altri attori.
Nel Microsoft Digital Defense Report, attori cinesi lavorano per predisporre l’accesso a società di infrastrutture critiche a Guam e negli Stati Uniti.
In alcuni casi, sono obiettivi che offrono vantaggi minimi o nulli, in termini di spionaggio o di raccolta di informazioni. Dunque l’apparente motivazione di questa serie di attacchi informatici è quella di posizionare in anticipo l’accesso, in modo da avere l’opportunità di interrompere la fornitura di servizi infrastrutturali critici in caso di escalation dell’attività globale.
Nel report di Microsoft, cresce in modo significativo anche l’attenzione verso il Sud Asia Pacifico e l’Africa sub-sahariana e l’ America Latina. “Stiamo assistendo a una maggiore raccolta di intelligence che ha come obiettivo lo stesso tipo di organizzazioni, governi, think tank e accademie. In queste regioni del mondo, infine, nel rapporto Microsoft sulla difesa digitale abbiamo parlato dell’importanza di una risposta collettiva e collaborativa come il lavoro che abbiamo svolto e continuiamo a svolgere con le agenzie governative a livello globale. Nel tentativo di difendersi dagli attacchi informatici, dalla criminalità informatica e dagli attacchi degli Stati nazionali, nonché dall’avvento dell’AI”, mette in guardia Tom Burt.
L’AI: gioca in attacco e in difesa nel Microsoft Digital Defense Report
I cyber criminali e gli attori nation-State sfruttano l’AI per affinare il linguaggio che usano nei loro attacchi di phishing o le immagini che usano nelle loro operazioni di influenza. E questi sono alcuni dei modi principali in cui abbiamo visto l’IA essere impiegata dagli avversari. Ma, naturalmente, stiamo osservando con attenzione altri modi in cui l’AI potrebbe agevolare gli avversari per migliorare i loro attacchi informatici e le loro operazioni di influenza.
Altri cyber criminali utilizzano l’AI nella criminalità informatica, per effettuare false telefonate che usano la voce fidata di un familiare, generata però con l’intelligenza artificiale, per commettere frodi al telefono. L’intelligenza artificiale, disponibile da qualche tempo, è infatti in grado di generare una voce che sembra quasi indistinguibile dalla voce che sintetizzata. L’aggressore prima registra la voce della persona che si vuole sintetizzare e poi la usa per creare frasi vocali con la voce AI-generated e sferrare attacchi fraudolenti
Fino a ieri il phishing era riconoscibile per il linguaggio spesso goffo, una punteggiatura improbabile o sintassi non tipica di madrelingua. Invece, in qualsiasi lingua, l’uso dell’intelligenza artificiale generativa sta aiutando gli aggressori a perfezionare i loro messaggi di phishing, rendendoli più difficili da individuare. “Per proteggersi, non bisogna cliccare su nessun link in nessun messaggio a meno che non si sia sicuri al cento percento di potersi fidare, accedendo alla fonte”, mette in guardia Burt.
Rischi reali con l’AI-generated secondo il Microsoft Digital Defense Report
Nella compromissione delle mail aziendali, gli aggressori potrebbero ora utilizzare la voce sintetica, per imitare la voce del CEO di un’azienda per chiamare il CFO e autorizzare il trasferimento di fondi. Cosa che era vietata via mail, ma il divieto potrebbe essere aggirato in questa modalità.
Allo stesso tempo, però, “stiamo anche assistendo all’inizio dell’impiego dell’IA per difendersi dagli attacchi informatici. Lo abbiamo visto in Ucraina. “Con un algoritmo di intelligenza artificiale incluso nel nostro Microsoft Defender per il servizio endpoint, abbiamo identificato il malware russo e ne abbiamo bloccato l’efficacia. O con l’analisi, ma con un algoritmo che identifica il codice e che nei prossimi anni continuerà a essere al centro dello sviluppo della sicurezza informatica di Microsoft, con l’implementazione di un’intelligenza artificiale che ci aiuterà a identificare malware o altri attacchi informatici e vettori di attacchi informatici, bloccandoli prima che possano avere un impatto sui nostri clienti”, evidenzia Burt.
Ma il vettore d’attacco più frequente per ottenere l’accesso a una rete è ancora il password spray, seguito dagli attacchi con attacchi Brute Force, mentre il phishing è il mezzo principale per ottenere l’accesso a una rete.
Il ruolo del copilot: i vantaggi dell’AI nel Microsoft Digital Defense Report
Per quanto riguarda l’ecosistema digitale, stiamo anche assistendo all’implementazione di un AI per aiutare i soccorritori e quindi di Microsoft security copilot, che sarà presto disponibile ai nostri clienti.
Il copilota di sicurezza di Microsoft prende tutti i vantaggi dell’AI generativa e li mette a disposizione della difesa della sicurezza informatica.
Il copilot di sicurezza raccoglie tutti i dati pertinenti da tutta la rete e da tutte le diverse risorse e processi di cyber difesa, per fornire informazioni in tempo reale, per spiegare da dove arriva l’attacco e come espellere l’aggressore dalla loro rete.
“Si tratta di un nuovo strumento incredibilmente potente che darà ai difensori un vantaggio unico”, avverte Burt, illustrando il Microsoft Digital Defense Report: “Abbiamo quindi parlato di tutti questi aspetti e dei partenariati di difesa collaborativi tra il settore pubblico e quello privato e tra il settore privato e le aziende tecnologiche e tutti i nostri clienti a livello globale. Dobbiamo lavorare insieme per arginare davvero la marea di tutti questi attacchi informatici e stiamo vedendo i primi segnali e i frutti che questi sforzi di collaborazione stanno dando”.
Tecniche di living off the land
Gli attori russi e cinesi stanno eccellendo nell’utilizzare le tecniche di “living off the land”. “Una volta ottenuto l’accesso a una rete, anziché diffondere il malware all’interno della rete, utilizzano le capacità del network per condurre i loro spostamenti, le loro indagini, l’esfiltrazione di dati. Ciò li rende più difficili da rilevare nel traffico di rete complessivo”, sottolinea Burt.
Il copilota di sicurezza invece svolge due attività. In primo luogo, rende disponibili le informazioni che il sistema di sicurezza può raccogliere tra le diverse applicazioni di sicurezza presenti sull’intera rete, in modo da poter fornire risposte complete e utili in lingua inglese alle domande che i professionisti della sicurezza porrebbero alla rete, in modo da ridurrebbe i tempi di risposta da giorni a ore. Il miglioramento è veramente rilevante.
Migliorare le competenze
Due milioni e mezzo di persone si occupano di sicurezza. Le posizioni professionali sono aperte perché mancano i professionisti della sicurezza necessari in tutto il governo e nelle aziende per difenderci da questi attacchi.
Microsoft è infatti coinvolta in numerose iniziative di riqualificazione. Il copilot della cyber security aiuta enormemente in questo senso, perché svolge il duro lavoro che un professionista della sicurezza deve fare per raccogliere e comprendere tutte queste informazioni. Ma svolge anche la formazione che alzi il livello per del team. Sarà quindi molto più facile per le persone reclutare e formare professionisti nel loro centro operativo di sicurezza, grazie a Copilot. Mitigherà il problema di skill shortage che affligge le aziende.
Open Source Security Foundation
Open Source Security Foundation (Open Ssf) sta lavorando per dare priorità ai prodotti o ai progetti open source che presentano il rischio più elevato o per l’uso più frequente di componenti più critici per la sicurezza. Il gruppo è impegnato a catalogare tutti i componenti e analizzarli alla luce delle leggi sulla sicurezza, per incoraggiare i proprietari di questi progetti a migliorarne la cyber.
